Szukasz gotowego rozwiązania, które pomoże Ci wdrożyć RODO w firmie? Skontaktuj się z nami. Nasi specjaliści przygotują dla Ciebie specjalną ofertę, dzięki której zapomnisz o problemach z wdrożeniem rozporządzenia o ochronie danych osobowych! https://logsystem.pl/

1. RODO
Ochrona Danych Osobowych z LOG System

2. „
Czynnik ludzki od wieków jest najsłabszym ogniwem
bezpieczeństwa informacji. (…) Czy chcesz być najsłabszym
ogniwem, które socjotechnik zdoła wykorzystać w Twojej firmie?
Kevin Mitnick

3. Spis treści
1. Po co chronić dane osobowe?
2. Jak obecnie chronione są dane osobowe?
3. Co wydarzy się 25 maja 2018 roku?
4. RODO to…
5. Kogo dotyczą zmiany?
6. Cel nowelizacji Prawa Ochrony Danych Osobowych
7. Jak RODO wpłynie na osoby fizyczne?
8. Jak RODO wpłynie na rozwój przedsiębiorstw?
9. Co mi grozi wraz z wejściem RODO?
10. Administrator Danych Osobowych według nowej ustawy
11. Nowy Urząd Ochrony Danych Osobowych
12. Najważniejsze zmiany
13. Jak dostosować się do wprowadzonych zmian?
14. Przykładowe etapy wdrożenia wymogów RODO
15. Pojęcia, które musisz znać
16. RODO z LOG System - KROK PO KROKU

4. 01 I Po co chronić dane osobowe?
Temat danych osobowych zawsze należał do drażliwych. Z jednej strony stanowił (i wciąż
stanowi) problem np. w trakcie wizyty w szpitalu, gdy chcieliśmy dowiedzieć się o stan zdrowia
znajomego. Z drugiej zaś, to dane osobowe są wyzwalaczem dla marketerów, chcących
sprzedać nam „kołdrę z wielbłąda”, czy zaprosić na kolejne spotkanie prezentujące zestaw
garnków. Z jeszcze innej, szczególnie ostatnio, dużo się słyszy
o kradzieżach danych osobowych, czy sytuacjach, gdy ktoś podszywa się pod inną osobę,
dysponując jej danymi osobowymi.
Czy nie da się z tym nic zrobić? Jak sobie z tym poradzić? Jak uniknąć takich sytuacji?
Co na to temat ochrony danych osobowych?

5. 01 I Po co chronić dane osobowe?
• Prezentujesz, że Twoi klienci nie są Ci obojętni.
• Dbasz o wizerunek uczciwego przedsiębiorcy.
• Chronisz swoją prywatność (jako osoba prywatna).
• To ogromny atut, w walce konkurencyjnej.
• Unikasz odszkodowania cywilnego za naruszenie reguł
przetwarzania danych osobowych.
• Unikasz kar za naruszenie zasad RODO.

6. !
02 I Jak obecnie chronione są dane osobowe?
Obowiązująca do 24 maja 2018 roku ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych:
• tekst pierwotny: Dz. U. 1997 r. Nr 133 poz. 883,
• tekst jednolity: Dz. U. 2002 r. Nr 101 poz. 926,
• tekst jednolity: Dz. U. 2014 r. poz. 1182,
• tekst jednolity: Dz. U. 2015 r. poz. 2135, 2281,
• tekst jednolity: Dz. U. 2016 r. poz. 922.
Do 25 maja 2018, każde naruszenie przepisów ustawy o ochronie danych osobowych, może
skończyć się karą grzywny wynoszącą:
• do 50 tys. zł (osoby fizyczne),
• do 200 tys. zł (osoby prawne),
• lub karą pozbawienia wolności do 2 lat.
Nie istnieją przepisy uprawniające GIODO do nakładania kar finansowych za naruszenie przepisów.
GIODO może jedynie nakazać poprawę sytuacji, by była zgodna z prawem. Jeśli mimo upomnienia,
sytuacja się nie zmieniła, GIODO skieruje sprawę do sądu, który ma prawo nałożyć sankcje
pieniężne i karne.

7. !
03 I Co wydarzy się 25 maja 2018 roku?
Tego dnia zacznie obowiązywać unijne Rozporządzenie o Ochronie Danych Osobowych.
Co za tym idzie?
Znacznie zmienią się przepisy w zakresie ochrony danych wraz z sankcjami związanymi z
naruszeniem przepisów.
25
MAJ

8. 04 I RODO to…
RODO - Rozporządzenie unijne, będące zbiorem przepisów o ochronie osób fizycznych dotyczące
przetwarzania danych osobowych. Rozporządzenie zawiera również przepisy o swobodnym przepływie
danych osobowych.
• Ustawa RODO zastępuje wszystkie dotychczasowe regulacje w państwach członkowskich Unii
Europejskiej. Dopuszcza się zastosowanie regulacji krajowych dotyczących przetwarzania danych
osobowych jedynie w zakresie ustawy RODO.
• Jest aktem bezpośrednio skutecznym.
W Dzienniku Urzędowym UE L 119 znajdziemy oficjalne teksty następujących aktów prawnych, które wchodzą w skład reformy
ochrony danych:
1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób
fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia
dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Rozporządzenie weszło w życie 20 dni po publikacji, a
obowiązywać będzie od 25 maja 2018
2. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w
związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia
postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego
przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW. Dyrektywa weszła w życie 4 maja 2016 r.

9. !
05 I Kogo dotyczą zmiany?
Zakres podmiotowy:
• RODO dotyczy wszystkich przedsiębiorców, którzy w związku ze swoją działalnością przetwarzają dane
osobowe,
• RODO dotyczy zarówno podmioty przetwarzające dane osobowe w sposób zautomatyzowany, jak i tradycyjny,
• RODO nie dotyczy osób fizycznych przetwarzających dane osobowe mających charakter osobisty lub domowy,
także w przypadku osób zmarłych.
Zakres terytorialny:
• RODO dotyczy podmiotów prowadzących działalność w Unii Europejskiej, bez względu na to, czy
przetwarzanie danych ma miejsce na terenie UE,
• RODO dotyczy jednostek organizacyjnych spoza UE, które przetwarzają dane osób przebywających na terenie
UE, jeśli czynności dotyczą oferowania towarów lub usług w UE lub monitorowaniem zachowań takich osób
(na terenie UE).
Podsumowując:
• RODO znajduje zastosowanie do każdego, kto przetwarza dane osobowe obywateli Unii Europejskiej w celach
innych niż czysto osobiste lub domowe,
• każdy przedsiębiorca, który sprzedaje produkty lub usługi obywatelom UE musi stosować się do RODO,
• do RODO muszą stosować się osoby, które wprawdzie nie prowadzą działalności gospodarczej, ale
przetwarzanie danych odbywa się w związku z jakąś ich zorganizowaną aktywnością, np. blogerzy wysyłający
newslettery.
RODO to zmiana dla całej organizacji, nie tylko dla ABI! Nowe przepisy zmuszają do zmiany
sposobu myślenia Administratorów Danych Osobowych.

10. 06 I Cel nowelizacji Prawa Ochrony Danych Osobowych
• Prawo UE w zakresie ochrony danych osobowych istnieje od ponad 23 lat.
• Dyrektywa 95/46/WE gwarantuje skuteczna ochronę prawa do ochrony danych.
• Różnice implementacji prawa w krajach członkowskich doprowadziły do niespójności (niepewność prawną oraz wysokie
koszty administracyjne). Wpłynęło to na zaufanie osób fizycznych oraz konkurencyjności gospodarki UE.
• Wpływ na konieczność zmian ma także dynamiczny rozwój technologii w tym usług internetowych.
EUROPEJCZYCY NIE CZUJĄ SIĘ BEZPIECZNIE
• 89% badanych opowiedziało się za jednakową ochroną praw w całej UE, niezależnie od państwa.
• Mniej niż 33% Europejczyków wykazało się zaufaniem wobec operatorów sieci telefonicznych i dostawców internetu.
• Ponad 75% Europejczyków przyznało się do braku zaufania względem firm internetowych takim jak dostawcy
wyszukiwarek, portali społecznościowych etc.
• Połowa europejskich internautów obawiała się, że stanie się ofiarą oszustwa polegającego na niewłaściwym
wykorzystaniu ich danych.
• Tylko 15% miało poczucie, że mają oni pełną kontrolę nad danymi, które ujawniają online, natomiast mniej niż jedna na
trzy osoby (31%) uważała, że zupełnie nie posiada kontroli nad swoimi danymi.
• Tylko trochę ponad jedna trzecia Europejczyków miała świadomość istnienia krajowego organu publicznego
odpowiedzialnego za zagwarantowanie im prawa do ochrony danych osobowych (37%).
(źródło: GIODO)

11. 07 I Jak RODO wpłynie na osoby fizyczne?
RODO wprowadza przede wszystkim narzędzia do ochrony danych osobowych osób, których informacje
dotyczą, m.in. poprzez:
• prawo do bycia zapomnianym - daje możliwość wystosowania prośby o usunięcie danych osobowych
zgodnie z wytycznymi zawartymi w ustawie RODO,
• łatwiejszy dostęp do danych - osoby fizyczne będą miały dostęp do szerszego zakresu informacji odnośnie
przetwarzania ich danych, a forma przedstawienia tych informacji powinna być jasna i zrozumiała,
• konieczność informowania w przypadku naruszeń dotyczących danych - RODO nakłada na
administratorów danych obowiązek powiadomienia organu nadzorczego o przypadku naruszenia ochrony
danych, a także osoby, których dane dotyczą,
• obowiązek wdrożenia mechanizmów ochrony danych w fazie projektowania - oznacza uwzględnienie
ochrony danych osobowych już na etapie projektowania i tworzenia usługi internetowej wraz z ustawieniami
domyślnej ochrony danych osobowych, które mają przyczynić się do minimalizacji przetwarzanych danych,
• zwiększona ochrona praw dzieci do 16 roku życia - z uwagi na mniejszy stopień świadomości zagrożeń,
konsekwencji, gwarancji i posiadanych praw przez dzieci zgodę na przetwarzanie danych osobowych
dziecka, które nie ukończyło 16 lat musi wyrazić lub zaaprobować osoba, która sprawuje władzę
rodzicielską lub opiekę na dzieckiem, wyłącznie w zakresie wyrażonej zgody,
• efektywniejsza egzekucja przestrzegania przepisów - uprawniony w Polsce organ ochrony danych będzie
miał możliwość nakładania administracyjnych kar pieniężnych.

12. 08 I Jak RODO wpłynie na rozwój przedsiębiorstw?
Dane osobowe w obecnych czasach zyskują coraz większe znaczenie ekonomiczne, przykładowo w
dynamicznie rozwijającej się technologii Big Data. Nowe rozporządzenie daje przedsiębiorcom z UE
jednolity system przepisów, który w zamiarze skutkować ma powstaniem nowych perspektyw
biznesowych przy jednoczesnej ochronie podstawowych praw obywateli:
• jedno prawo w Unii Europejskiej - rozporządzenia wprowadza jeden spójny dla wszystkich krajów
członkowskich zestaw reguł, których celem jest prostsze i tańsze prowadzenie działalności w UE,
• one-stop-shop - wprowadzenie mechanizmu kompleksowej współpracy ograniczy kontakt
przedsiębiorców do jednego wyznaczonego organu nadzorczego,
• unijne prawo dla przedsiębiorców spoza UE - przedsiębiorcy z państw trzecich oferujący swoje
usługi na terenie UE mają obowiązek podporządkowania się do przepisów RODO,
• system sprzyjający innowacyjności - ustawa RODO nie narzuca jasnych i ściśle określonych
wymogów bezpieczeństwa. To na administratorach danych ciąży obowiązek wdrożenia procedur
bezpieczeństwa zgodnych z RODO. Daje to jednak możliwość dostosowania przepisów ustawy do
charakteru działalności poszczególnych przedsiębiorstw,
• prawo do przenoszenia danych - dostęp do rynków danych, które zdominowane są przez
cyfrowych gigantów będą mogły uzyskać małe przedsiębiorstwa czy start-upy, które zachęcać
mogą klientów rozwiązaniami chroniącymi ich prywatność.

13. !
09 I Co mi grozi wraz z wejściem RODO?
Od 25 maja 2018 r. zdecydowanej zmianie ulegną kwestie karne. Ustawa (artykuł 83 RODO) wyraźnie wskazuje
wysokość kar za różne rodzaje naruszeń postanowień ustawy.
• Zastosowanie każdorazowo będzie miała kara wyższa.
• Kary nakładane będą jednoinstancyjnie z możliwością odwołania się tylko do Sądu
Administracyjnego.
Rodzaj naruszenia
(art. 83 RODO)
Podmiot Publiczny Przedsiębiorstwo
m.in. naruszenie obowiązków
administratora lub podmiotu
przetwarzającego
do 10 000 000 euro
do 10 ml euro lub do 2 % jego
całkowitego rocznego światowego
obrotu z poprzedniego roku
obrotowego
m.in. naruszenie podstawowych
zasad przetwarzania, w tym
warunków zgody, naruszenie praw
osób, których dane dotyczą
do 20 000 000 euro
do 20 mln euro do 4% jego
całkowitego rocznego światowego
obrotu z poprzedniego roku
obrotowego

14. 10 I ADO według nowej ustawy
• Stosuje zasady przetwarzania danych
• Stosuje odpowiednie środki techniczne i organizacyjne, które wyeliminują lub
maksymalnie ograniczą ryzyko szkodliwych zdarzeń (zabezpieczenie danych)
• Zgłasza do organu nadzorczego poważne przypadki naruszeń
• Wdraża odpowiednie polityki dotyczące przetwarzania danych
• Nadaje uprawnienia i ewidencjonuje osoby upoważnione do przetwarzania danych

15. 10 I ADO - Obowiązki
Wdrożenie odpowiednich środków technicznych i organizacyjnych – zasada domyślnej ochrony
danych:
• pseudonimizacja, szyfrowanie danych; zdolność do ciągłego zapewnienia poufności, integralności,
dostępności i odporności systemów i usług przetwarzania; zdolność do szybkiego przywrócenia
dostępności danych w razie incydentu fizycznego lub technicznego; regularne testowanie, mierzenie
i ocenianie skuteczności wykorzystanych środków technicznych,
• wybór przykładowych środków należy do administratora, ciąży jednak na nim obowiązek wykazania
zastosowania odpowiednich rozwiązań, gwarantujących bezpieczeństwo przetwarzania danych,
• w wykazaniu należytego obowiązku może pomóc zastosowanie zatwierdzonych kodeksów
postępowania lub mechanizmu certyfikacji.
Privacy by design, privacy by default:
• wdrożenie odpowiednich środków i zasad już na etapie planowania procesu przetwarzania danych
(privacy by design),
• wykorzystanie środków gwarantujących domyślnego przetwarzanie wyłącznie tych danych, które są
niezbędne do osiągnięcia konkretnych celów przetwarzania (privacy by default).

16. 10 I ADO - Powierzenie przetwarzania
Administrator może powierzyć przetwarzanie danych - osoba fizyczna lub prawna, organ
publiczny, jednostka organizacyjna lub inny podmiot.
Podmiot przetwarzający - podmiot, któremu ADO może powierzyć przetwarzanie danych.
Co musi zawierać umowa powierzenia:
• zakres przetwarzania,
• czas trwania przetwarzania,
• charakter i cel przetwarzania,
• rodzaj danych osobowych,
• kategorie osób, których dane dotyczą,
• ryzyko naruszenia praw lub wolności osoby, której dane dotyczą,
• konkretne zadania i obowiązki podmiotu przetwarzającego w kontekście planowanego
przetwarzania.

17. 11 I Nowy Urząd Ochrony Danych Osobowych
• W miejsce obecnego Generalnego Inspektora Ochrony Danych Osobowych zostanie powołany
nowy organ – Prezes Urzędu Ochrony Danych Osobowych.
• Prezes Urzędu Ochrony Danych Osobowych powołuje ponad 500-osobowy zespół
Inspektorów do egzekucji przepisów RODO.
• Inspektor Ochrony Danych (IOD) – wyznaczona przez ADO lub podmiot przetwarzający dane
osoba fizyczna, której zadaniem jest monitorowanie przestrzegania przepisów dotyczących
ochrony danych osobowych.
• Kary, nakładane przez Prezesa Urzędu Ochrony Danych Osobowych, będą jednoinstancyjnie.
Odwołanie się od kar możliwe będzie jedynie przez Sąd Administracyjny.

18. !
12 I Najważniejsze zmiany
• Odpowiedzialność za nieprzestrzeganie zapisów RODO ciążyć będzie na organizacjach
przetwarzających dane osobowe, które pochodzą z innych firm. Sytuacja ta dotyczyć będzie np.
firm hostingowych czy dostarczających rozwiązania w chmurze.
• Umowy dotyczące przetwarzania będą bardziej restrykcyjne niż obecnie.
• Odszkodowania i ograniczenia odpowiedzialności będą podlegać renegocjacji.
Bezpośrednia odpowiedzialność przetwarzającego dane

19. !
12 I Najważniejsze zmiany
Art. 33 RODO: Reagowanie w przypadkach naruszenia ochrony danych osobowych
• Kiedy? Zawsze, chyba, że istnieje niewielkie ryzyko naruszenie ochrony danych.
• Jak szybko? Bez zbędnej zwłoki, max 72h od stwierdzenia naruszenia; jeśli później, to z
wyjaśnieniem przyczyny opóźnienia. Podmiot przetwarzający wykonuje zgłoszenie od
administratora.
Zawartość zgłoszenia:
• opis charakteru naruszenia - w miarę możliwości wskazanie kategorii i przybliżonej liczby osób,
których dane dotyczą oraz kategorie i przybliżoną liczbę wpisów danych, których dotyczy
naruszenie,
• imię, nazwisko i dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu
kontaktowego,
• opis możliwości konsekwencji naruszenia oraz opis środków zastosowanych lub
proponowanych przez administratora w celu zaradzenia naruszeniu i minimalizacji jego
negatywnych skutków.
ZGŁASZANIE NARUSZEŃ MAX W 72h!

20. !
12 I Najważniejsze zmiany
Art. 34 RODO: Kontakt z właścicielem danych, w przypadku stwierdzenia ich naruszenia
• Kiedy?Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób
fizycznych poza sytuacjami, kiedy administrator wdrożył odpowiednie techniczne i
organizacyjne środki ochrony, umożliwiające odczyt tych danych przez osoby nieuprawnione
(np. szyfrowanie).
• Jak szybko? Bez zbędnej zwłoki.
Zawartość zgłoszenia:
• opis charakteru naruszenia - w miarę możliwości wskazanie kategorii i przybliżonej liczby osób,
których dane dotyczą oraz kategorie i przybliżoną liczbę wpisów danych, których dotyczy
naruszenie,
• imię, nazwisko i dane kontaktowe inspektora danych lub oznaczenie innego punktu
kontaktowego,
• opis możliwości konsekwencji naruszenia oraz opis środków zastosowanych lub
proponowanych przez administratora w celu zaradzenia i minimalizacji jego negatywnych
skutków.
ZGŁASZANIE NARUSZEŃ MAX W 72h!

21. !
12 I Najważniejsze zmiany - Prawa obywateli
RODO wprowadza:
• „prawo do bycia zapomnianym”,
• uprawnienie do żądania przeniesienia danych,
• mocniejsze prawo dostępu i wglądu w dane,
• obywatel będzie mógł wyrazić sprzeciw wobec przetwarzania danych,
• obywatel będzie mógł zakazać marketingu bezpośredniego bazującego na danych osobowych.
Ogromny wysiłek dla organizacji i branży IT

22. !
RODO wprowadza:
• obowiązek otrzymania zgody na profilowanie jeszcze przed rozpoczęciem procesu zbierania
danych osobowych,
• obowiązek informowania o profilowaniu,
• obowiązek akceptacji zgody na profilowanie.
Wiele regulaminów internetowych będzie musiało ulec zmianom
12 I Najważniejsze zmiany - Ograniczenie profilowania

23. !
12 I Najważniejsze zmiany - IOD
Obowiązkiem niektórych przedsiębiorstw - kontrolujących i przetwarzających dane - będzie wyznaczenie
Inspektora Ochrony Danych Osobowych (w skrócie IOD)
Możliwość wyznaczenie wspólnego IOD (DPO) dla:
• grupy przedsiębiorstw – jeśli tylko można łatwo nawiązać z nim kontakt z każdej jednostki
organizacyjnej,
• kilku organów lub podmiotów publicznych – z uwzględnieniem ich struktury organizacyjnych i
wielkości.
•Członek personelu lub podmiot zewnętrzny (bez konfliktu interesów)
•Ma obowiązek upublicznienia swoich danych, w tym do GIODO
•Ma obowiązek zachowania niezależności, tajemnicy oraz poufności
•Nie może być odwołany, ani karany za wykonywanie swoich zadań

24. 12 I Najważniejsze zmiany - Wyznaczenie IOD
Sytuacje, w których należy wyznaczyć Inspektora Ochrony Danych:
• gdy przetwarzanie prowadzi organ lub podmiot publiczny (za wyjątkiem sądów w zakresie
sprawowania przez nie wymiaru sprawiedliwości),
• gdy administrator zajmuje się przede wszystkim przetwarzaniem danych osobowych, co
wymaga regularnego i systematycznego monitorowania osób,
• gdy administrator zajmuje się przede wszystkim przetwarzaniem danych wrażliwych na dużą
skalę oraz danych dotyczących wyroków skazujących i naruszeń prawa.

25. !
12 I Najważniejsze zmiany - Status IOD
Art. 38 RODO - Status Inspektora Ochrony Danych
IOD musi być bezstronny, a jego zadania poboczne nie mogą powodować konfliktu interesów.
Nie może to być IT!
•Inspektor Ochrony Danych musi być właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony
danych osobowych. Odpowiada za to Administrator oraz podmiot przetwarzający
•Inspektor Danych Osobowych może liczyć na wsparcie Administratora oraz podmiotu przetwarzającego, których
obowiązkiem jest zapewnienie Inspektorowi niezbędnych zasobów oraz dostępu do danych i operacji
przetwarzania
•Administrator i podmiot przetwarzający dbają, by Inspektor nie otrzymywał instrukcji wykonywania swoich zadań
•Inspektor jest stroną kontaktową dla osób, które chcą zasięgnąć informacji odnośnie spraw związanych z
przetwarzaniem danych osobowych oraz wykonywaniem przysługujących im praw
•Inspektor musi przestrzegać obowiązku zachowania tajemnicy lub poufności w trakcie realizacji swoich zadań
(obowiązuje prawo UE lub prawo państwa członkowskiego)
•Administrator i podmiot przetwarzający dbają, by poboczne zadania i obowiązki Inspektora nie powodowały
konfliktu interesów

26. !
12 I Najważniejsze zmiany - Zadania IOD
Art. 39 RODO - Zadania Inspektora Ochrony Danych
IOD monitoruje i dokonuje analiz ryzyk!
•Inspektor informuje administratora oraz pracowników o obowiązkach, jakie na nich spoczywają, wynikających
zarówno z rozporządzenia, jak i przepisach Unii lub państw członkowskich, które dotyczą ochrony danych
osobowych
•Inspektor doradza administratorowi oraz pracownikom w zakresie ochrony danych osobowych
•Inspektor monitoruje, czy są przestrzegane rozporządzenia, przepisy Unii lub państw członkowskich dotyczące
ochrony danych osobowych
•Inspektor monitoruje, czy są przestrzegane polityki administratora lub podmiotu przetwarzającego w dotyczące
ochrony danych osobowych
•Inspektor, na żądanie, udziela zaleceń oceny skutków dla ochrony danych i monitoruje ich wykonanie
•Inspektor jest punktem kontrolnym dla organu nadzorczego w kwestiach związanych z przetwarzaniem danych
•Inspektor współpracuje z GIODO

27. !
12 I Najważniejsze zmiany - Rejestry
Rejestry muszą zawierać:
• powody przetwarzania danych,
• kategorie podmiotów danych i danych osobowych,
• adresatów danych,
• rejestry międzynarodowych transferów danych,
• rejestry naruszeń i incydentów,
• rozwój i utrzymanie zasady ochrony prywatności dla każdej linii produktowej,
• przechowywanie potwierdzonych zgód na przetwarzanie danych.
Podmioty kontrolujące i przetwarzające dane muszą przygotować i utrzymywać rejestr
dotyczący przetwarzania danych.

28. !
12 I Najważniejsze zmiany - Rejestry
Art. 30 RODO - Rejestr czynności przetwarzania
Prowadzenie rejestru czynności przetwarzania jest obowiązkiem każdego administratora danych.
Wyjątek stanowią administratorzy danych zatrudniający poniżej 250 pracowników, których
czynności przetwarzania:
• nie powodują ryzyka naruszenia praw lub wolności osób, których dotyczą,
• mają charakter sporadyczny,
• nie obejmują szczególnych kategorii danych osobowych, lub dane osobowe nie dotyczą
wyroków skazujących i naruszeń prawa.
Przedsiębiorcy muszą mieć na uwadze, iż fakt zatrudnienia poniżej 250 pracowników nie jest
jedynym warunkiem do zaniechania prowadzenia rejestru czynności przetwarzania!

29. !
12 I Najważniejsze zmiany - Rejestr przetwarzania
Zawartość rejestru czynności przetwarzania:
• imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz wszelkich
współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz
inspektora ochrony danych,
• cele przetwarzania,
• opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych,
• kategorie odbiorców, którym dane zostały lub zostaną ujawnione, w tym odbiorców w
państwach trzecich lub organizacjach międzynarodowych,
• gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji
międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w
przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja
odpowiednich zabezpieczeń,
• jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych,
• jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.
Przedsiębiorcy muszą mieć na uwadze, że rejestr przetwarzania to najważniejszy rejestr RODO.
Musi być zawsze aktualny!

30. 12 I Najważniejsze zmiany - Zgody
Przepisy w RODO wprowadzają nowe lub uzupełnione zasady uzyskiwania ważnych i
weryfikowalnych zgód na przetwarzanie danych osobowych od osób, których dane dotyczą.
Zgoda osoby, której dane dotyczą - dobrowolne, konkretne, świadome i jednoznaczne okazanie
woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania
potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

31. !
12 I Najważniejsze zmiany - Wyrażanie zgody
Art. 7 RODO - Warunki wyrażenia zgody:
• administrator przetwarzający dane musi być w stanie wykazać, że osoba, której dane dotyczą,
wyraziła zgodę na przetwarzanie swoich danych osobowych,
• w przypadku zgody pisemnej zawierającej więcej niż jedna kwestię, zapytanie o zgodę musi być
przedstawione w sposób wyraźnie odróżniający je od pozostałych kwestii, w zrozumiałej i łatwo
przystępnej formie, jasnym i prostym językiem. W przypadku kiedy część takiego oświadczenia
osoby, której dane dotyczą, stanowi naruszenie rozporządzenia, zgoda nie jest wiążąca,
• osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę, co musi być
równie łatwe jak jej wyrażenie,
• oceniając, czy zgodę wyrażono dobrowolnie, uwzględnia się, czy od zgody nie jest uzależnione
wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest
niezbędne do wykonania tej umowy.
• RODO wprowadza zwiększoną ochronę praw dzieci do 16 lat! Przetwarzanie danych osobowych
dzieci do 16 roku życia jest zgodne z RODO jeśli zgodę wyraziła lub zaaprobowała ją osoba
sprawująca władzę rodzicielską lub opiekę nad dzieckiem oraz wyłącznie w zakresie wyrażonej
zgody.
• Państwa członkowskie mogą przewidzieć w swoim prawie niższą granicę wiekową, która musi
wynosić co najmniej 13 lat.

32. 12 I Najważniejsze zmiany - Obowiązek informacyjny
Art. 13 RODO - Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą
Administrator podczas pozyskiwania danych osobowych podaje osobie, której dane pozyskuje, następujące informacje:
• swoją tożsamość i dane kontaktowe, a gdy ma to zastosowanie tożsamość i dane kontaktowe swojego
przedstawiciela,
• dane kontaktowe IOD - gdy ma to zastosowanie,
• cele przetwarzania danych osobowych wraz z podstawę prawną przetwarzania,
• prawnie uzasadnione interesy realizowane przez administratora lub stronę trzecią,
• informacje o odbiorcach danych osobowych lub kategoriach odbiorców,
• informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowe.
Dodatkowe informacje podawane przez administratora w celu zapewnienia rzetelności i przejrzystości przetwarzania:
• okres, przez który dane osobowe będą przechowywane (lub kryterium ustalania tego okresu),
• informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby,
• informacje o prawie do cofnięcia zgody w dowolnym momencie,
• informacje o prawie wniesienia skargi do organu nadzorczego,
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia
umowy,
• informacje, czy podanie danych jest obowiązkowe i jakie są konsekwencje ewentualnego niepodania danych.

33. !
12 I Najważniejsze zmiany - Obowiązek informacyjny
Art. 14 RODO - Informacje podawane w przypadku pozyskiwania danych osobowych w sposób
inny niż od osoby, której dane dotyczą
W przypadku pozyskania danych z innego źródła, administrator podaje informacje o przetwarzaniu:
• w rozsądnym terminie po pozyskaniu danych osobowych - najpóźniej w ciągu miesiąca,
• jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą -
najpóźniej przy pierwszej komunikacji z tą osobą,
• jeżeli planuje się ujawnić dane osobowe innemu odbiorcy - najpóźniej przy ich pierwszym
ujawnieniu.
Przygotowanie przez administratora prawidłowej klauzuli zawierającej wszystkie wymagane
elementy jest niezwykle ważne w kontekście kar przewidzianych za naruszenie zasad
przetwarzania, w tym warunków zgody.

34. !
12 I Najważniejsze zmiany - Ocena skutków ochrony
Art. 35 RODO - Ocena skutków dla ochrony danych
Ocena skutków dla ochrony danych jest wymagana szczególnie w przypadku:
• systematycznej, kompleksowej oceny czynników osobowych odnoszących się do osób
fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest
podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób
znacząco wpływających na osobę fizyczną,
• przetwarzania na dużą skalę szczególnych kategorii danych osobowych lub danych
osobowych dotyczących wyroków skazujących i naruszeń prawa,
• systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie.
Wykonanie analizy oceny wpływu ochrony danych będzie obowiązkowe przed podjęciem działań
„wysokiego ryzyka”. Przykład: profilowanie na dużą skalę czy wykorzystanie danych szczególnych
kategorii (np. dane dotyczące zdrowia).

35. !
12 I Najważniejsze zmiany - Ocena skutków ochrony
Art. 35 RODO - Ocena skutków dla ochrony danych
Ocena skutków dla ochrony danych zawiera co najmniej:
• systematyczny opis planowanych operacji przetwarzania i celów przetwarzania, w tym, gdy ma
to zastosowanie – prawnie uzasadnionych interesów realizowanych przez administratora,
• ocenę, czy operacje przetwarzania są niezbędne oraz proporcjonalne w stosunku do celów,
• ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą,
• środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy
bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie
niniejszego rozporządzenia, z uwzględnieniem praw i prawnie uzasadnionych interesów osób,
których dane dotyczą, i innych osób, których sprawa dotyczy.
W przypadku oceny wskazującej na wysokie ryzyko w przetwarzaniu danych, którego to ryzyko
ADO nie może zminimalizować, konieczna jest konsultacja z GIODO. W takim przypadku GIODO
wydaje zalecenia i może skorzystać ze swoich dalszych uprawnień. W razie potrzeby należy
również dokonywać przeglądów czy przetwarzanie jest zgodne z oceną (np. gdy zmienia się ryzyko
wynikające z operacji przetwarzania).

36. 12 I Najważniejsze zmiany - Transfer poza UE
Niedostosowanie się do zakazu przesyłania danych, bez zachowania odpowiedniego poziomu
zabezpieczeń, będzie zagrożone możliwością nałożenia bardzo wysokich kar finansowych.
Szczegóły dotyczące transferu danych osobowych do państw trzecich ujęte zostały w
rozporządzeniu Rozdział V RODO Przekazywanie danych osobowych do państw trzecich lub
organizacji międzynarodowych (art. 44-50).

37. 13 I Te pojęcia MUSISZ znać
Dane osobowe – informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (imię i nazwisko,
numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy, szczegóły określające tożsamość fizyczną,
fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną).
Przetwarzanie – operacje, lub ich zestaw, wykonywane w sposób zautomatyzowany lub niezautomatyzowany na
danych lub zestawach danych osobowych (zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie,
adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie,
rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub
niszczenie).
Ograniczenie przetwarzania – oznaczenie przechowywania danych osobowych celem ograniczenia ich
przetwarzania w przyszłości.
Profilowanie – zautomatyzowane przetwarzanie danych osobowych polegające na wykorzystaniu danych
osobowych do oceny niektórych czynników osobowych osoby fizycznej (analizy, prognozy aspektów dotyczących
efektów pracy, sytuacji ekonomicznej, zdrowia, preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji,
przemieszczania się).
Pseudonimizacja – przetworzenie danych osobowych w taki sposób, by nie można było ich przypisać konkretnej
osobie bez użycia dodatkowych informacji (przechowywanych osobno, objętych środkami uniemożliwiającymi ich
przypisanie konkretnej osobie). W przypadku oceny wskazującej na wysokie ryzyko w przetwarzaniu danych,
którego to ryzyko ADO nie może zminimalizować, konieczna jest konsultacja z GIODO. W takim przypadku GIODO
wydaje zalecenia i może skorzystać ze swoich dalszych uprawnień. W razie potrzeby należy również dokonywać
przeglądów czy przetwarzanie jest zgodne z oceną (np. gdy zmienia się ryzyko wynikające z operacji
przetwarzania).

38. 13 I Te pojęcia MUSISZ znać
Zbiór danych – uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów.
Administrator – osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który sam lub wspólnie z
innymi ustala cele i sposoby przetwarzania danych osobowych.
Podmiot przetwarzający – osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który
przetwarza dane osobowe w imieniu administratora.
Odbiorca - osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, któremu ujawnia się dane
osobowe.
Naruszenie ochrony danych osobowych – naruszenie bezpieczeństwa, którego następstwem jest przypadkowe
lub niezgodne z prawem zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony
dostęp do przetwarzanych danych osobowych.
Dane genetyczne – dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych osoby fizyczne,
które ujawniają niepowtarzalne informacje o fizjologii lub zdrowiu, wynikające z analizy próbki biologicznej
pochodzącej od danej osoby.
Dane biometryczne – dane osobowe, dotyczące cech fizycznych, fizjologicznych lub behawioralnych osoby
fizycznej, umożliwiające lub potwierdzające jednoznaczną identyfikację tej osoby (wizerunek twarzy, dane
daktyloskopijne).
Dane dotyczące zdrowia – dane osobowe o zdrowiu fizycznych lub psychicznym osoby fizycznej, ujawniające
informacje o stanie zdrowia.

39. RODO z LOG System
Krok po kroku

40. RODO Krok po kroku
1. Zinwentaryzuj procesy przetwarzania
2. Zinwentaryzuj zbiory w procesach
3. Ustal kto posiada dostępy
4. Nadawaj i odbieraj uprawnienia
5. Kontroluj procesy akceptacji
6. Kontroluj szkolenia pracowników
7. Przygotuj kartę uprawnień
8. Monitoruj systemy
9. Kontroluj programy
10. Kontroluj operacje na plikach
11. Przeciwdziałaj awariom
12. Dbaj i zarządzaj
13. Czego potrzebujesz?

41. 1 I Zinwentaryzuj procesy
Zgodnie z art. 30 RODO każda organizacja, która przetwarza dane osobowe musi posiadać
rejestr czynności przetwarzania.

42. 2 I Zinwentaryzuj zbiory w procesach
Sprawdź jakie rodzaje zbiorów danych osobowych istnieją w Twoich procesach, a także
upewnij się, że wszystkie zostały wprowadzone do rejestru, by mieć nad nimi pełną kontrolę.

43. 3 I Ustal kto posiada dostępy
Wskaż pracowników, kontrahentów i partnerów, którzy mają dostęp do zbiorów danych
osobowych poprzez procesy w Twojej firmie, a także sprawdź czy posiadają stosowne zgody do
ich przetwarzania.

44. 4 I Nadawaj i odbieraj uprawnienia
Kontroluj każde nadanie i odebranie uprawnień do procesu czy zbioru danych osobowych dla
swoich pracowników i współpracowników. W każdej chwili, prosto i bez niepotrzebnej zwłoki,
możesz udzielić lub odebrać dostęp do zbioru wybranej osobie.

45. 5 I Kontroluj procesy akceptacji
Kontroluj każdą decyzję dotyczącą akceptacji lub odrzucenia wniosku o dostęp do zbioru
danych osobowych. Ponadto, uzyskaj dostęp do historii, w której zapisywane są podjęte
decyzje, byś w razie kontroli mógł zawsze po nie sięgnąć.
Każdy złożony wniosek zostanie
zarejestrowany i procesowany przez ADO i
inne osoby biorące udział w procesie

46. 6 I Kontroluj szkolenia pracowników
Pamiętaj, że wszyscy pracownicy i współpracownicy, którzy posiadają dostęp do Twoich zbiorów
danych osobowych, powinni zostać przeszkoleni jak postępować z wrażliwymi danymi.
Rejestr szkoleń zawiera informacje kto i kiedy takie szkolenie ukończył.
Możesz tworzyć szkolenia grupowe lub
pojedyncze dla pracowników, których
zamierzasz przeszkolić

47. 7 I Przygotuj kartę uprawnień
Wszyscy pracownicy i współpracownicy w Twojej firmie powinni podpisać dokumenty
o zachowaniu poufności oraz karty uprawnień. Teraz będziesz mógł generować je prosto z
systemu.
Gotowy raport zawierający wszelkie
uprawnienia pracownika. Tylko podpisać!

48. 8 I Monitoruj systemy
Monitoring da Ci pewność, że w systemie nie występują braki m.in. w zabezpieczeniach
antywirusowych, które mogłyby powodować naruszenie bezpieczeństwa i doprowadzić do
wycieku danych. W przypadku stwierdzenia braków, system automatycznie założy zgłoszenie lub
mailowo powiadomi administratora.
Reguła automatyzacji - wynik
Automatyczne zgłoszenie - brak systemu antywirusowego

49. 9 I Kontroluj programy
Dzięki funkcjom takim jak blokowanie programów / procesów / stron i zewnętrznych nośników
danych, zabezpieczysz swoją firmę przed wyciekiem danych.
Edytowalna lista procesów i stron WWW

50. 10 I Kontroluj operacje na plikach
Kontrolując operacje wykonywane na plikach (tworzenie, usuwanie, kopiowanie), będziesz miał
nad nimi stały nadzór, tym samym ochronisz dane osobowe przed wyciekiem.
Lista operacji na plikach

51. 11 I Przeciwdziałaj awariom
Monitoring sprzętu pomoże wykryć możliwe przypadki uszkodzenia lub przeciążenia sprzętu
komputerowego jeszcze przed wystąpieniem awarii.
Wybór parametrów monitoringu urządzeń

52. 12 I Dbaj i zarządzaj
Szyfruj dane na każdym dysku
By chronić dane osobowe przechowywane na dyskach, dajemy Ci możliwość
szyfrowania dysków komputerów w Twojej firmie.
Dbaj o legalność oprogramowania
Musisz dbać o stan programów wykorzystywanych w Twojej firmie i kontrolować
ich legalność. LOG System zadba o audyty i stworzy raporty dotyczące
oprogramowania, które będziesz otrzymywać na maila.
Zarządzaj zdarzeniami i incydentami
Bardzo ważne jest, aby każdy incydent, który może mieć wpływ na bezpieczeństwo
danych osobowych był zarejestrowany, a także aby każdy pracownik Twojej firmy miał
możliwość takie zdarzenie zgłosić. LOG System pozwoli Ci zarządzać zdarzeniami i
incydentami związanymi z bezpieczeństwem danych osobowych.
Moduł Helpdesk posiada gotową obsługę wniosków:
• wniosek o usunięcie danych osobowych („prawo do bycia zapomnianym”),
• zgłoszenie incydentu naruszenia bezpieczeństwa.

53. 13 I Czego potrzebujesz?
Podstawowy pakiet RODO z LOG System zawiera:
• wieczystą Licencję podstawową na LOG System,
• moduł CMDB,
• moduł Helpdesk Standard,
• Maintenance na 12 miesięcy (zawiera wszystkie aktualizacje związane ze zmianami w prawie),
• zestaw gotowych narzędzi zgodnych z RODO.
! Jeśli potrzebujesz audytu zgodności z RODO, skontaktuj się z przedstawicielem LOG System.
Nasi specjaliści zweryfikują, czy Twoja firma odpowiada rygorystycznym wymaganiom i wskażą
ewentualne błędy, byś mógł je w porę wyeliminować.

54. Na polskim rynku LOG System jest jednym z najpopularniejszych narzędzi do
zarządzania działem IT. Zaawansowany technologicznie, podążający zawsze
za potrzebami Klientów, jest zainstalowany na ponad 250 tysiącach
komputerów w blisko 1000 firm i organizacji.
Niezmiennie, przez ponad 10 lat istnienia, zajmuje się nim ten sam zespół
doświadczonych programistów, wspieranych przez wyspecjalizowaną grupę
wdrożeniowców. Do Twoich rąk trafia dzięki zespołowi godnych zaufania
handlowców.
Bo zależy nam na Twoim zaufaniu i zadowoleniu!

55. Siedziba główna
ul. Sosnowa 23, 61-428 Poznań
Sprzedaż i Wsparcie
ul. Ślężna 104/16, 53-111 Wrocław
Kontakt
+48 71 750 42 00
info@logsystem.pl
www.logsystem.pl
© 2018 LOG Systems sp. z o.o.
Wszelkie prawa zastrzeżone.